Ransomware gegen Berlin: Was der Fall für KMU bedeutet
Was in Berlin passiert ist
Die Ransomware-Gruppe „Rhysida" fordert von Berlin 30 Bitcoin. Zahlt die Stadt nicht, will die Gruppe vertrauliche Daten veröffentlichen. Der Regierende Bürgermeister Kai Wegner hat öffentlich klargemacht, dass Berlin nicht zahlen wird. Das ist die knappe Faktenlage laut heise Security, und schon daran lässt sich viel ablesen: Es geht nicht mehr nur darum, Systeme lahmzulegen. Es geht um Druck über zwei Kanäle gleichzeitig, nämlich Verschlüsselung und Veröffentlichungsdrohung. Ob und welche Daten tatsächlich abgeflossen sind, wie die Angreifer ins Netz gekommen sind und welche konkreten Systeme betroffen sind, ist öffentlich nicht im Detail bekannt. Genau das macht den Fall so lehrreich, denn er zeigt das Muster, nicht nur den Einzelfall.
Bemerkenswert ist die politische Entscheidung: keine Zahlung. Das ist die Position, die Sicherheitsbehörden seit Jahren empfehlen, weil jede Zahlung das Geschäftsmodell der Erpresser bestätigt und weitere Angriffe finanziert. Für eine Behörde mit entsprechenden Ressourcen und Öffentlichkeitsdruck ist das eine vertretbare, wenn auch schmerzhafte Haltung. Für ein mittelständisches Unternehmen, dessen komplette Auftragsabwicklung, Buchhaltung oder Warenwirtschaft plötzlich verschlüsselt ist, sieht die Rechnung oft anders aus, und genau in diesem Dilemma stecken pro Jahr Tausende Betriebe in Deutschland.
Wie Gruppen wie Rhysida typischerweise vorgehen
Rhysida ist keine unbekannte Größe in der Sicherheitsszene, die Gruppe ist seit einiger Zeit für Angriffe auf Behörden, Bildungseinrichtungen und Unternehmen bekannt. Das Grundprinzip solcher Banden ist mittlerweile hoch professionalisiert und läuft in der Regel in mehreren Phasen ab.
Zunächst verschaffen sich die Angreifer Zugang zum Netzwerk, oft über gestohlene Zugangsdaten, eine ungepatchte Schwachstelle in einem extern erreichbaren System oder eine Phishing-Mail, die ein Mitarbeiter unbedacht öffnet. Danach folgt eine Phase, in der sich die Angreifer im Netzwerk bewegen, ohne aufzufallen. Sie suchen nach wertvollen Daten, nach Backup-Systemen, die sie ebenfalls angreifen wollen, und nach Möglichkeiten, sich Administratorrechte zu verschaffen. Erst wenn sie eine gute Ausgangsposition haben, schlagen sie zu: Daten werden kopiert und abgezogen, anschließend werden die Systeme verschlüsselt.
Das Ergebnis ist die sogenannte doppelte Erpressung. Selbst wer ein funktionierendes Backup hat und die verschlüsselten Systeme wiederherstellen kann, steht vor der zweiten Drohung: der Veröffentlichung gestohlener Daten. Genau das erleben wir gerade im Fall Berlin, und genau das ist der Grund, warum ein Backup allein heute nicht mehr ausreicht, um sich sicher zu fühlen.
Warum das kein reines Behördenthema ist
Man könnte meinen, Angriffe auf Großstädte, Krankenhäuser oder Ministerien seien eine andere Liga als das, was ein Handwerksbetrieb, ein Autohaus oder eine Steuerkanzlei zu befürchten hat. Das Gegenteil ist der Fall. Ransomware-Banden wählen ihre Opfer selten nach politischer Bedeutung aus, sondern nach Erfolgswahrscheinlichkeit und erwartetem Ertrag. Ein mittelständisches Unternehmen mit veralteter Firewall, ohne Zwei-Faktor-Authentifizierung und mit einem Server, der seit Jahren nicht mehr aktualisiert wurde, ist für solche Gruppen ein deutlich leichteres Ziel als eine gut abgesicherte Verwaltung.
Hinzu kommt: Kleinere und mittlere Unternehmen zahlen im Zweifel eher, weil der Betriebsausfall existenzbedrohend ist. Wenn die Produktion steht, die Kassensysteme nicht funktionieren oder die komplette Kundendatenbank weg ist, rechnen viele Geschäftsführer in Tagen, nicht in Wochen. Diese Kalkulation kennen die Angreifer sehr genau, und sie setzen die Lösegeldforderung oft genau so an, dass sie im Vergleich zum drohenden Schaden „günstiger" wirkt, obwohl niemand eine Garantie hat, dass nach der Zahlung tatsächlich alle Daten entschlüsselt oder gelöscht werden.
Die doppelte Erpressung als neuer Normalfall
Früher bedeutete ein Ransomware-Angriff im Wesentlichen: Daten verschlüsselt, Betrieb steht still, man zahlt oder stellt aus dem Backup wieder her. Heute kommt fast immer eine zweite Ebene dazu, die im Berliner Fall exemplarisch sichtbar wird: die Drohung mit der Veröffentlichung vertraulicher Daten. Das verändert die Risikobewertung grundlegend.
Für ein Unternehmen bedeutet das: Selbst ein technisch perfektes Backup-Konzept schützt nur vor dem Betriebsausfall, nicht vor dem Reputationsschaden und den rechtlichen Folgen eines Datenlecks. Wenn Kundendaten, Mitarbeiterdaten, Verträge oder interne Kommunikation öffentlich werden, drohen neben dem Vertrauensverlust bei Kunden auch Meldepflichten gegenüber Aufsichtsbehörden und im schlimmsten Fall Bußgelder nach der Datenschutz-Grundverordnung. Wer aktuell prüft, wie belastbar die eigene Aufstellung in Sachen Meldepflichten und Mindestschutz ist, findet einen guten Ausgangspunkt in unserem Beitrag zu NIS2 & IT-Sicherheit, da viele der dort beschriebenen Anforderungen mittlerweile auch kleinere Unternehmen indirekt betreffen, etwa als Zulieferer größerer Betriebe.
Was ein Angriff in der Praxis für den Betrieb bedeutet
Es lohnt sich, sich das konkret vorzustellen, statt es abstrakt zu lassen. Ein Vorfall wie in Berlin bedeutet in einem typischen mittelständischen Betrieb: Die Warenwirtschaft ist nicht erreichbar, also können keine Bestellungen bearbeitet werden. Die Buchhaltungssoftware ist verschlüsselt, also fehlt der Überblick über offene Rechnungen. E-Mail-Server sind betroffen, also ist auch die Kommunikation mit Kunden und Lieferanten unterbrochen. Und während man versucht, überhaupt wieder online zu kommen, tickt im Hintergrund eine Uhr, die die Angreifer selbst gesetzt haben, meist verbunden mit einer Fristsetzung und einer wachsenden Lösegeldforderung.
Genau in dieser Phase zeigt sich, wer vorbereitet ist und wer nicht. Unternehmen mit einem getesteten Notfallplan wissen, wen sie zuerst anrufen, welche Systeme isoliert werden müssen und wie sie aus einem sauberen Backup wiederherstellen. Unternehmen ohne einen solchen Plan verlieren wertvolle Stunden allein mit der Frage, wer überhaupt zuständig ist. Diese Stunden entscheiden häufig darüber, ob ein Angriff ein teurer Zwischenfall bleibt oder eine existenzielle Krise wird.
Was das für den Mittelstand bedeutet
Der Fall Berlin ist ein guter Anlass, die eigene Aufstellung nüchtern zu prüfen, denn die Mechanik hinter dem Angriff ist dieselbe, mit der auch kleinere Unternehmen tagtäglich konfrontiert werden. Aus unserer Erfahrung mit mittelständischen Kunden lassen sich daraus einige klare Handlungsempfehlungen ableiten.
Erstens: Backups müssen getrennt vom produktiven Netzwerk liegen. Ein Backup, das über dasselbe Netzwerk erreichbar ist wie die Produktivsysteme, wird bei einem professionellen Angriff mitverschlüsselt oder gelöscht, das ist inzwischen Standardvorgehen der Angreifer. Offline-Kopien, unveränderliche Speicher oder ein separat gesichertes Cloud-Backup sind hier kein Luxus, sondern die Grundvoraussetzung dafür, dass ein Angriff überhaupt beherrschbar bleibt. Wer seine Infrastruktur ohnehin modernisiert, sollte prüfen, ob ein professionell betreutes Managed Hosting mit sauber getrennten Backup-Ebenen nicht ohnehin die bessere Basis ist als eine selbst gepflegte Serverlandschaft, die im Zweifel niemand im Haus konsequent absichert.
Zweitens: Ein Notfallplan gehört auf Papier, nicht nur in den Kopf des IT-Verantwortlichen. Wer im Ernstfall zuständig ist, welche externen Dienstleister eingebunden werden, welche Behörden informiert werden müssen und in welcher Reihenfolge Systeme wiederhergestellt werden, sollte vorher festgelegt und im Idealfall einmal durchgespielt worden sein. Ein Plan, der erst während eines laufenden Angriffs entsteht, kostet wertvolle Zeit, die man nicht hat.
Drittens: Zugänge und Rechte gehören regelmäßig überprüft. Viele erfolgreiche Angriffe beginnen mit gestohlenen oder erratbaren Zugangsdaten. Zwei-Faktor-Authentifizierung, konsequentes Patch-Management und die Beschränkung von Administratorrechten auf das Nötigste sind unspektakuläre, aber sehr wirksame Maßnahmen. Ein strukturierter Blick von außen hilft dabei oft mehr als die interne Routine, weshalb sich ein regelmäßiges Website-Audit und eine begleitende Prüfung der internen IT-Sicherheit gegenseitig ergänzen sollten.
Viertens: Externer Zugriff auf sensible Systeme sollte kontrolliert und protokolliert erfolgen. Gerade in Betrieben, die auf Fernwartung durch Dienstleister angewiesen sind, ist eine sauber abgesicherte Lösung wichtig, damit dieser Zugang nicht selbst zum Einfallstor wird. Eine professionell eingerichtete Fernwartung mit klaren Zugriffsregeln reduziert dieses Risiko erheblich, statt es zusätzlich zu vergrößern.
Fünftens: Ein realistischer Wiederherstellungsplan berücksichtigt auch den Fall, dass Daten trotz Backup teilweise beschädigt oder nicht mehr sauber lesbar sind. Hier lohnt sich vorab zu wissen, an wen man sich im Ernstfall wenden kann, etwa wenn eine professionelle Datenrettung notwendig wird, weil ein Backup unvollständig war oder ein Angriff auch die Sicherungsläufe der letzten Tage erwischt hat.
Und sechstens, vielleicht der wichtigste Punkt: Sicherheit ist kein einmaliges Projekt, sondern ein laufender Prozess. Ein Unternehmen, das seine IT-Sicherheit einmal aufgesetzt und dann jahrelang nicht mehr angefasst hat, ist heute in der Regel schlechter aufgestellt als noch vor zwei Jahren, einfach weil sich die Angriffsmethoden weiterentwickelt haben. Eine jährliche Überprüfung, ehrlich und ohne Beschönigung, gehört für jedes Unternehmen zur Grundausstattung, unabhängig von der Betriebsgröße.
Zahlen oder nicht zahlen: eine Entscheidung, die man vorher treffen sollte
Berlin hat sich klar gegen eine Zahlung entschieden. Diese Haltung ist aus gesamtgesellschaftlicher Sicht richtig, weil jede Zahlung das Geschäftsmodell der Angreifer bestätigt. Für ein einzelnes Unternehmen ist die Entscheidung im Ernstfall jedoch oft weniger eindeutig, wenn der Fortbestand des Betriebs auf dem Spiel steht. Genau deshalb ist es sinnvoll, diese Frage nicht erst im Krisenmoment zu klären, sondern vorher, gemeinsam mit der Geschäftsleitung, der Rechtsabteilung oder einem externen Berater und im Idealfall auch mit den zuständigen Behörden. Wer vorher weiß, welche Optionen realistisch sind und welche Konsequenzen eine Zahlung hätte, trifft im Ernstfall eine schnellere und bessere Entscheidung, statt unter Zeitdruck zu improvisieren.
Fazit: Ein Weckruf, der ernst genommen werden sollte
Der Fall Berlin wird in den nächsten Wochen sicher weitere Details preisgeben, etwa ob und welche Daten tatsächlich veröffentlicht werden. Unabhängig vom weiteren Verlauf zeigt der Fall bereits jetzt, wonach sich jedes Unternehmen fragen sollte: Wären wir in der Lage, aus einem sauberen Backup wieder betriebsbereit zu sein, ohne auf die Forderungen von Kriminellen eingehen zu müssen? Wenn die ehrliche Antwort „nein" oder „wir wissen es nicht genau" lautet, ist jetzt ein guter Zeitpunkt, das zu ändern, bevor eine Forderung im eigenen Postfach oder auf dem eigenen Bildschirm landet.
Häufige Fragen
Was ist Rhysida?
Rhysida ist eine Ransomware-Gruppe, die für Angriffe auf Behörden, Bildungseinrichtungen und Unternehmen bekannt ist und dabei auf das Modell der doppelten Erpressung setzt. Sie verschlüsselt Systeme und droht zusätzlich mit der Veröffentlichung erbeuteter Daten, um den Druck auf die Opfer zu erhöhen.
Warum lehnt Berlin eine Zahlung ab?
Sicherheitsbehörden empfehlen grundsätzlich, Lösegeldforderungen nicht nachzukommen, weil jede Zahlung das Geschäftsmodell der Angreifer finanziert und weitere Angriffe wahrscheinlicher macht. Zudem gibt es keine Garantie, dass nach einer Zahlung tatsächlich alle Daten gelöscht oder entschlüsselt werden.
Reicht ein Backup, um vor Ransomware sicher zu sein?
Ein Backup schützt vor dem Betriebsausfall, aber nicht vor der zweiten Erpressungsebene, wenn zuvor Daten gestohlen und mit Veröffentlichung gedroht wird. Wichtig ist zudem, dass Backups getrennt vom produktiven Netzwerk liegen, da sonst auch sie bei einem Angriff mitverschlüsselt werden können.
Sind kleine Unternehmen für Ransomware-Banden überhaupt interessant?
Ja, oft sogar besonders, weil sie häufig weniger gut geschützt sind als große Organisationen und ein Betriebsausfall für sie existenzbedrohend sein kann. Diese Kombination aus leichter Angreifbarkeit und hohem Zahlungsdruck macht kleinere Betriebe zu einem attraktiven Ziel.
Was sollte ein Unternehmen als Erstes tun, wenn es noch keinen Notfallplan hat?
Der erste Schritt ist eine ehrliche Bestandsaufnahme: Wo liegen Backups, wie aktuell sind sie, wer ist im Ernstfall zuständig und welche externen Ansprechpartner gibt es. Darauf aufbauend lässt sich ein einfacher, aber verbindlicher Notfallplan erstellen, der regelmäßig überprüft und bei Bedarf angepasst wird.
Muss ein Unternehmen einen Ransomware-Angriff melden?
Wenn personenbezogene Daten betroffen sind, kann eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde bestehen. Wie genau diese Pflichten aussehen und ob weitere regulatorische Anforderungen greifen, sollte im Vorfeld geklärt werden, statt erst im akuten Vorfall danach zu suchen.